Защитите свою IIoT-систему с пользовательскими криптографическими библиотеками

Спецификация OMG DDS Security продвигается к Версии 1.0, принося нативную данно-ориентированную модель безопасности в стандарт DDS. Эта эволюция усиливает Industrial IoT (IIoT) решения гибкостью, надежностью и реально-временной производительностью, которые DDS уже предлагает.

Выделяющейся особенностью спецификации является архитектура Service Plugin Interface (SPI). SPI позволяют адаптировать механизмы безопасности — аутентификацию, контроль доступа, криптографию, логирование и тегирование данных — без модификации кода приложения.

Эта статья объясняет SPI-фреймворк и показывает, как сконфигурировать встроенные плагины RTI Connext DDS Secure для делегирования криптографических операций выбранной вами библиотеке.

DDS Secure Service Plugin Interfaces (SPIs)

Спецификация DDS Security не меняет API приложения. Вместо этого она определяет пять подключаемых компонентов, которые DDS middleware вызывает по необходимости. Эти плагины предоставляют отдельные функции информационной уверенности через стандартизированные интерфейсы.

Пять SPI:

SPI-архитектура предлагает обширную кастомизацию каждого аспекта безопасности. Хотя вы можете заменить любую реализацию SPI, время вызовов SPI остается под контролем DDS middleware, обеспечивая соответствие спецификации.

Встроенные плагины, описанные в Главе 9 спецификации, обеспечивают бесшовную интероперабельность между DDS-реализациями. RTI Connext DDS Secure поставляется с этими плагинами и прямым путем кастомизации.

Кастомизация встроенных плагинов RTI Connext DDS Secure

Встроенные бинарные плагины безопасности позволяют немедленное развертывание безопасной DDS-системы. Настройте PropertyQosPolicy вашего DomainParticipant, чтобы указать на требуемые артефакты безопасности — файлы контроля доступа, документы управления, сертификаты идентичности — согласно спецификации.

Если нужна более глубокая модификация, RTI поставляет исходные файлы для сборки. Для большинства сценариев, однако, использование OpenSSL EVP API предлагает более простое решение.

Замена реализаций криптографических алгоритмов

Встроенные плагины используют EVP-движок OpenSSL для криптографических функций, но позволяют внедрять пользовательский движок. Ваш движок может перенаправлять вызовы к FIPS-совместимой библиотеке или любому другому криптографическому провайдеру, поддерживающему EVP-интерфейс.

Функции, экспонируемые плагинами, включают:

Для использования другого криптографического провайдера либо настройте плагин на загрузку вашего EVP-движка, либо реализуйте шим, перенаправляющий вызовы к вашей библиотеке.

Модификация самих встроенных плагинов

Если алгоритмы или параметры по умолчанию не удовлетворяют вашим требованиям, вы можете изменить исходный код плагина. Распространенные изменения включают выбор альтернативных алгоритмов, регулировку размеров ключей или переключение с динамической на статическую линковку.

Для более обширных кастомизаций — например, новой схемы аутентификации идентичности — консультируйтесь с экспертами RTI, чтобы обеспечить совместимость ваших модификаций со спецификацией DDS Security.